Cybersecurity-Forscher warnen vor einer globalen Kriminalitätskampagne, die das Web als Verteilerplattform nutzt: Unter dem Namen StopAndProtect sollen nahezu 2.000 gehackte WordPress-Installationen als Infrastruktur missbraucht worden sein. Die Angreifer verwenden dabei mehrere Schadsoftware-Bausteine, um Systeme zu übernehmen, Daten zu stehlen und in manchen Fällen sogar Erpressung durchzuführen.
Der Bericht von Check Point zeigt ein Zusammenspiel aus Social Engineering, maßgeschneiderten WordPress-Manipulationen und einer mehrstufigen Infektionskette. Besonders kritisch: Die kompromittierten Seiten dienen nicht nur zum Auslösen der Schadaktivitäten, sondern auch als Steuer- und Speicherpunkte für die Betreiber.
Welche Rolle spielen StopAndProtect gehackte WordPress-Seiten?
Im Kern setzen die Täter auf ein Netzwerk aus bereits kompromittierten Webseiten. Diese StopAndProtect gehackte WordPress-Seiten erfüllen mehrere Aufgaben gleichzeitig:
- Bereitstellen von Schadsoftware-„Stages“, die nach dem Einstieg nachgeladen werden.
- Betrieb als Command-and-Control-(C2)-Server, über die die Angreifer Anweisungen verteilen.
- Speichern exfiltrierter Informationen, darunter Logs und Screenshots, die Rückschlüsse auf den Stand der Infektion geben.
Damit wird aus einer Vielzahl einzelner WordPress-Installationen eine verteilte kriminelle Infrastruktur. In der Darstellung von Check Point sind dazu sehr viele Webseiten betroffen gewesen – teils mit veralteten WordPress-Versionen und zusätzlich installierten Plugins.
Von ClickFix-CAPTCHA zu PowerShell: der Einstieg
Der Einstieg beginnt laut den Forschern mit einer Social-Engineering-Aktion im Stil von „ClickFix“: Besucher werden mit gefälschten CAPTCHA-Eingabeaufforderungen konfrontiert, die im Ergebnis eine bösartige Aktion auslösen. Auf diese Weise startet eine Kette von Schritten, die bis zu einer PowerShell-Ausführung führt.
Die PowerShell-Command fungiert dabei als „Leitweg“ für ein mehrstufiges Vorgehen. Zunächst wird eine .NET-Download-Stufe ausgeführt, die Statistiken an den C2 übermittelt und anschließend den nächsten Abschnitt nachlädt. Danach folgt eine weitere .NET-Stufe und ein Loader, der zusätzlich Checks im Zusammenspiel mit der Umgebung vornimmt und weitere Protokollmechanismen enthält, bevor die Hauptkomponenten starten.
Mehrere Module statt „eine Malware“
Check Point betont, dass die Operation nicht auf ein einzelnes Schadprogramm angewiesen sei. Stattdessen arbeiten verschiedene Komponenten zusammen. Je nach Verlauf werden unterschiedliche Funktionen aktiviert – und nicht jeder Infektionsfall endet automatisch in einer Ransomware-Phase.
In vielen Fällen seien die Angreifer zunächst unauffällig dabei beobachtet worden, Dateienlisten zu erfassen und anschließend gezielt einzelne Dateien zu exfiltrieren. Das System wird also häufig zuerst als Quelle für Datenmissbrauch genutzt.
Stage 3: Diese sechs Hauptkomponenten werden beschrieben
In der beschriebenen Hauptphase umfasst Stage 3 mehrere Module, darunter:
- SilentEncryptor: Verschlüsselt entweder alle infizierten Rechner oder nur Systeme mit bestimmten Hostnamen.
- NetworkShareScanner: Funktioniert wie ein SMB/USB-Wurm und versucht, sich auf weitere Geräte auszubreiten.
- VBS spreader: Verbreitet die Schadsoftware auf Festplatten und Wechseldatenträgern, scannt das Netzwerk und bewegt sich späteral über WMI.
- LockScreen: Blockiert die Benutzereingaben und zeigt eine Erpressungsnachricht mit einem Zahlungs-QR-Code an.
- SimpleChatProxy: Eine maßgeschneiderte Chat-Komponente zur Kommunikation zwischen Opfer und Operator.
- SilentDataCollector: Erstellt eine Liste der Laufwerke, verschlüsselt diese und exfiltriert sie an den C2. Zusätzlich kann der Operator ein Befehls-„Kommando“-Dokument auf dem Server hinterlegen, das der Stealer ausliest, um spezifische Dateien zu holen.
Damit ist die Kampagne nicht nur „einmaliges Ausführen“, sondern ein orchestriertes Set aus Funktionen: Verschlüsselung, seitliche Bewegung, Datensammlung, Kommunikation und weitere Kontrollelemente greifen ineinander.
Neue Stealer-Funktionen: Keylogging, WhatsApp-Daten, Screenshots
Neuere Varianten der Datendiebstahlkomponente erweitern den Funktionsumfang deutlich. Neben einem Keylogger mit Erkennung für gültige E-Mail-Adressen werden weitere Kanäle genutzt.
Check Point beschreibt außerdem Exfiltration aus WhatsApp, das Mapping und Unmapping von Netzwerkshares sowie das Erfassen von Screenshots der Nutzeraktivität im Abstand von etwa 30 Sekunden.
Auch die Automatisierung innerhalb von WhatsApp wird erläutert: Ein Operator kann einen Suchbegriff ausgeben. Der Stealer wartet, bis das Opfer inaktiv wird, fokussiert dann das Suchfeld, gibt den gewünschten Kontaktbegriff ein, öffnet die Kontaktinformation und erstellt anschließend einen Screenshot.
Wie die Betreiber WordPress zusätzlich „umbauen“
Der Bericht geht weiter auf die technische Anpassung der WordPress-Seiten ein. Laut den Forschern nutzen die Angreifer ein ZIP-Archiv, das eine PHP-Datei mit dem Namen „uploader-installer.php“ enthält, um einen benutzerdefinierten WordPress-Plugin-Mechanismus nachzurüsten.
Dabei wird ein sogenanntes must-use-(MU)-Plugin-Konstrukt eingesetzt. Das heißt: Der Code wird so platziert, dass er bei der WordPress-Ausführung zuverlässig aktiv ist, insbesondere im Verzeichnis wp-content/mu-plugins.
Das Plugin ermöglicht es, sofern gültige Zugangsdaten vorliegen, beliebige Dateien hochzuladen – auch PHP-Dateien in nahezu jeden Pfad unterhalb des WordPress-Roots. Das kann den Weg für Remote Code Execution ebnen. Nach erfolgreicher Platzierung deaktiviert sich das Plugin selbst und löscht sich wieder, um eine Entdeckung zu erschweren.
Malware-Management per Automationswerkzeug
Interessant ist außerdem, dass die kompromittierten Systeme offenbar auch mit Werkzeugen verwaltet werden, die der Betreiber für den Botnet-Betrieb einsetzt. Check Point nennt dabei einen benutzerdefinierten Dateinamen „fMain.frm“, der zur Massenverwaltung kompromittierter WordPress-Seiten dient.
Dem Bericht zufolge nutzt dieses Automations-Tool sichere Upload- und Delete-Skripte auf den Zielseiten, um Dateien hochzuladen oder zu entfernen, sowie Funktionen wie das Aktivieren oder Deaktivieren gefälschter ClickFix-CAPTCHA-Elemente und auch Caching-Funktionen zu steuern.
Gefälschte CAPTCHA-Elemente für unterschiedliche Nutzergruppen
Auf den betroffenen Seiten findet sich außerdem ein bösartiges „verify“-Plugin. Es überlagert den Originalinhalt mit einem falschen CAPTCHA – speziell für Nutzer, die nicht unter Windows laufen (nicht-Windows-Besucher).
Aktiviert wird dieses Verhalten offenbar erst, nachdem der Angreifer eine Datei namens „activator.php“ hochgeladen hat. Danach löscht sich das Plugin selbst wieder, um Spuren zu verwischen.
Was passiert nach dem Hack? Operator-Fehler liefern Einblick
Check Point konnte tiefergehende Erkenntnisse gewinnen, weil die Angreifer laut Bericht in ihrer operativen Sicherheit Fehler gemacht haben. Dadurch wurden detaillierte Infektionslogs und Screenshots von Opfersystemen sichtbar, ebenso wie die Werkzeuge, mit denen die Betreiber die kompromittierten WordPress-Seiten massenhaft verwalteten.
Zudem wird geschätzt, dass die Kampagne bis zu etwa 2.000 WordPress-Seiten umfasst haben könnte, im weiteren Verlauf aber auch mehr als 6.000 einzigartige IP-Adressen erreicht wurden. Ein großer Teil der IPs soll dabei in den USA, Russland und Indien lokalisiert gewesen sein.
Warum das besonders gefährlich ist
Der entscheidende Punkt aus Sicht der Sicherheit: Die Angreifer zeigen, wie man schlecht gepflegte WordPress-Seiten in eine verteilte Infrastruktur verwandeln kann. Das System wird so nutzbar für Malware-Verteilung, Überwachung und Datendiebstahl – und in manchen Varianten zusätzlich für Ransomware-Aktivitäten.
Für Organisationen bedeutet das: Die Risiken beschränken sich nicht nur auf die betroffene Website. Sobald ein Besucher oder Nutzer in die Falle gerät, kann eine Infektionskette auf Endgeräte übergreifen.
Praktische Hinweise: So reagieren Unternehmen und Nutzer
Check Point richtet mehrere konkrete Empfehlungen an Organisationen und Nutzer:
- Seien Sie besonders vorsichtig bei unerwarteten CAPTCHA-Hinweisen, die dazu auffordern, Aktionen außerhalb des Browser-Kontexts auszuführen.
- Wenn eine Aufforderung dazu dient, Commands zu kopieren, einzufügen oder auszuführen, sollten Sie die Seite sofort verlassen.
- Halten Sie Geräte und Sicherheitssoftware aktuell, damit bekannte Schwachstellen weniger leicht ausgenutzt werden.
- Prüfen Sie auch WordPress-seitig: Veraltete Versionen und wenig gepflegte Plugins erhöhen die Angriffsfläche.
Fazit
Die beobachtete Kampagne rund um StopAndProtect gehackte WordPress zeigt, wie vielseitig Cyberkriminelle das WordPress-Ökosystem missbrauchen können. Von ClickFix-ähnlichen CAPTCHA-Fallen über PowerShell-Ausführung bis hin zu einer modularen Stage-Architektur: Die Täter verbinden Datendiebstahl, Überwachung und teils Verschlüsselung zu einer zusammenhängenden Attacke.
Wer solche Hinweise erkennt und konsequent auf ungewöhnliche Schritte reagiert, reduziert das Risiko deutlich. Gleichzeitig bleibt die Grundregel bestehen: Regelmäßige Updates und eine saubere Wartung sind zentrale Faktoren, um solche Angriffsflächen gar nicht erst zu eröffnen.
Quelle: https://thehackernews.com/2026/08/stopandprotect-uses-nearly-2000-hacked.html
